La seguridad en la nube ha sido una preocupación constante para los CISO (Directores de Seguridad de la Información) y los CFO (Directores Financieros).
La mayoría de las empresas ya han migrado o están en proceso de migrar a estructuras en la nube. La mayoría de los proveedores de servicios en la nube (CSP) elegidos son Azure, Amazon Web Services (AWS) y Google Cloud Platform.
Sin embargo, estas plataformas proporcionan seguridad en la nube y gestión secreta, es decir, son insuficientes en varios aspectos importantes. Otro dato alarmante es que el 74% de las empresas no saben cuántas claves o certificados tienen en toda la organización, lo que aumenta la complejidad operativa.
La migración a la nube introduce nuevas vulnerabilidades, ya que el crecimiento de activos y tecnologías en la nube amplía la superficie de ataque. En consecuencia, los delincuentes adoptan técnicas cada vez más sofisticadas.
Los piratas informáticos que utilizan credenciales comprometidas son responsables del 61% de las brechas de seguridad, lo que provoca fugas generalizadas de información sensible y consecuencias potencialmente catastróficas.
Seguridad en la nube
:
cuestiones clave para los CISO y los CFO
CISOs
Para los CISO, una
gestión de secretos
y una herramienta de seguridad en la nube puede causar daños graves. Además, tienen que enfrentarse a complejidades operativas, como no saber cuántas claves o certificados tienen en toda la organización
Distribución y rotación de secretos
: Dificultad para distribuir y conmutar secretos de forma eficaz y segura sin interrumpir los servicios críticos. Si esta alternancia de secretos se filtra, puede provocar accesos no autorizados y violaciones de datos.
Gestión multiplataforma
: La complejidad de gestionar secretos en diferentes plataformas en la nube (AWS, Azure, GCP) y entornos locales.
Conectividad limitada con terceros:
Dificultades de integración con plataformas y herramientas de terceros, como sistemas CI/CD autodesplegados y clústeres Kubernetes no gestionados.
Federación y autenticación
La falta de un servicio federado para la autenticación puede dificultar la centralización y normalización de los procesos de seguridad.
Cumplimiento y seguridad
Cumplimiento normativo: Mantener el cumplimiento de diversas normativas de protección de datos y privacidad.
Acceso de los CSP a datos críticos
Preocupa que los CSP puedan tener acceso a claves de encriptación y datos críticos, especialmente debido a leyes como la Ley CLOUD.
CFOs
La mayoría de las veces, las personas en esta posición tienen que encontrar soluciones rentables y también demostrar que la inversión ha aumentado la productividad, la eficacia y, en algunos casos, ha generado beneficios.
1 . Costes y presupuestos:
Costes de implantación y mantenimiento
Controla los costes asociados a la implantación y mantenimiento de soluciones complejas para gestionar secretos y seguridad en la nube.
Retorno de la inversión en seguridad
: Dificultades para justificar el retorno de la inversión (ROI) en soluciones avanzadas de seguridad.
2 . Riesgos financieros:
Impacto financiero de las violaciones de datos
Los costes asociados a las violaciones de datos pueden ser astronómicos, incluyendo multas, indemnizaciones y pérdida de confianza de los inversores.
Mitigación de riesgos
La necesidad de aplicar soluciones que minimicen los riesgos financieros sin superar los presupuestos disponibles.
3 . Operaciones integradas y escalabilidad:
Eficiencia operativa
Asegúrate de que las soluciones de seguridad no interfieren con la eficacia operativa y el rendimiento empresarial.
Escalabilidad
Adopta soluciones que puedan escalarse eficazmente a medida que crece la empresa y se amplía la infraestructura informática.
Por lo tanto, en vista de los retos presentados anteriormente por los proveedores y la necesidad crucial de
una gestión eficaz de los secretos
e seguridad en la nubees esencial adoptar una solución que admita entornos híbridos y multi-nube.
Al hacerlo, es posible reducir significativamente los riesgos, recortando los impactos negativos para los CISO y los CFO hasta en un 70%. Una solución sólida e integrada proporciona un mayor control de los secretos, garantiza el cumplimiento de la normativa y promueve una mayor tranquilidad en las operaciones empresariales.
La seguridad en la nube y las limitaciones de AWS, Azure y Google Cloud
Los proveedores de servicios en la nube (CSP) como Azure, Amazon Web Services (AWS) y Google Cloud Platform (GCP) son una parte importante de la migración de las organizaciones a la nube. Pero, ¿son seguros?
Aunque las plataformas CSP proporcionan herramientas básicas de gestión del secreto, estas herramientas se quedan cortas en varios aspectos importantes.
Soporte para nubes híbridas y múltiples
Hoy en día, los recursos y cargas de trabajo de las organizaciones suelen abarcar entornos locales y en la nube, y a menudo incluyen más de una plataforma en la nube.
Sin embargo, una solución de gestión de secretos específica de un proveedor de servicios en la nube no está pensada para dar soporte a procesos locales u otras plataformas en la nube. Las soluciones CSP no disponen de un servicio de federación para la autenticación.
Por tanto, una solución de gestión de secretos propia de una plataforma en la nube no puede admitir servicios y funciones que se encuentren en una plataforma en la nube diferente, lo que deja la seguridad de los datos en la nube limitada y dependiente de otros proveedores.
Además, las cargas de trabajo locales no pueden aprovechar la bóveda secreta del CSP sin una clave de acceso. Esto da lugar al dilema de dónde y cómo se puede proteger esta clave.
Acceso a claves y datos
Una de las principales preocupaciones de las organizaciones que manejan datos sensibles es que, al utilizar una solución secreta de un proveedor de servicios en la nube (CSP), la empresa le da acceso total a las claves de encriptación. En consecuencia, los datos de la empresa.
Esto hace vulnerable a la organización, sobre todo porque la ley CLOUD obliga a los servidores a entregar claves y datos al gobierno si éste lo solicita.
Como resultado, la mayoría de las organizaciones que eligen una solución de secretos CSP sacrifican la cobertura de secretos y procesos que se encuentran in situ o en otras plataformas en la nube. Una vez más causando vulnerabilidades en el seguridad de los datos en la nube.
Una situación así es potencialmente peligrosa y contribuye poco a resolver el creciente problema de la “expansión secreta”. Los secretos aún pueden encontrarse en las bases de datos, los repositorios de código y las herramientas CI/CD de la empresa.
Funcionalidad de los secretos: secretos girados y dinámicos
Un
parte importante de la gestión de secretos
es la necesidad de cambiar regularmente de secreto. Sin esta capacidad, cualquier secreto filtrado puede activarse en cualquier momento, poniendo en peligro los datos y procesos de la organización.
De hecho, a medida que las organizaciones buscan mejorar su postura de seguridad en la nube, muchas han empezado a utilizar secretos dinámicos Justo a Tiempo (JIT). Sin embargo, caducan automáticamente y aumentan aún más la ventana de oportunidad para un ataque malicioso.
Las soluciones de secretos de los proveedores de servicios en la nube generalmente sólo se ocupan de secretos estáticos. No ofrecen una rotación regular ni la creación de secretos dinámicos Just-In-Time, necesarios para los recursos efímeros.
Esto requiere una conectividad continua con servicios externos o internos a la plataforma. Sin estas características, las organizaciones se quedan seguridad de los datos en la nube vulnerables a hackeos y filtraciones. Porque los secretos estáticos no se cambian ni se revocan.
Los proveedores utilizan un enfoque de “jardín amurallado” inadecuado para el entorno informático moderno. Sólo se dirigen a procesos dentro de la plataforma en la nube y tienen poca conectividad con plataformas de terceros. Como las herramientas CI/CD autodesplegadas y los clústeres Kubernetes no gestionados.
Esto causa grandes problemas a
equipos DevOps que necesitan desarrollar aplicaciones rápidamente
porque necesitan inyectar secretos de forma ágil y continua.
Herramienta de seguridad en la nube: CipherTrust Secrets
CipherTrust Secrets Management (CSM) de Thales está diseñado para soportar entornos híbridos multi-nube y DevOps. Proporciona un servicio centralizado que gestiona los secretos de múltiples plataformas en la nube y entornos locales.
Además, CSM autentica las plataformas en la nube utilizando la conectividad estándar del proveedor y autentica de forma segura los servicios y recursos locales mediante su función de Identidad Universal, lo que aumenta la seguridad en la nube. seguridad en la nube.
También permite a tus equipos de seguridad, nube y
equipos DevOps gestionar fácilmente secretos estáticos, alternativos y dinámicos (Just-In-Time)
. Esto se hace mediante una CLI o una sencilla interfaz web. Los equipos pueden configurar una amplia variedad de secretos alternativos y secretos dinámicos para cualquier protocolo, plataforma en la nube, base de datos o servicio.
CSM se adapta fácilmente a las herramientas y procesos DevOps existentes, con múltiples integraciones y complementos que permiten a los desarrolladores inyectar o crear secretos automáticamente según sea necesario, sin ralentizar el desarrollo.
Además, funciona con Akeyless Vault y se integra fácilmente con otras aplicaciones de terceros, como GitHub, Kubernetes, OpenShift y otras.
Acerca de Eval
Somos líderes en servicios y soluciones de alta tecnología, con especial atención a la Firma Electrónica, la Autenticación, la Protección de Datos y la Inteligencia Artificial. Con experiencia en la creación de soluciones y tecnologías emergentes, ofrecemos valor real y mejoras tangibles a nuestros clientes.
Nuestro equipo de especialistas innovadores busca constantemente nuevas formas de resolver los retos, garantizando que tu proyecto esté en buenas manos.
Ponte en contacto con nosotros hoy mismo para saber cómo podemos ayudarte a reducir costes manteniendo al mismo tiempo un alto nivel de seguridad y fiabilidad.
